Sicherheit

UiPath® unternimmt große Anstrengungen, um sicherzustellen, dass die Daten im Zusammenhang mit Ihren RPA-Projekten geschützt werden, und macht dabei keine Ausnahmen. Wenn Sie UiPath® Task Mining verwenden, werden Ihre Daten von mehreren Ebenen aus Sicherheits- und Governance-Technologien, Betriebsmaßnahmen und von UiPath® durchgesetzten Compliance-Richtlinien geschützt.

UiPath® Task Mining besteht aus vier Hauptkomponenten: der Aufzeichnungsanwendung, dem Datenpräprozessor, der Analyse und dem Administratorportal. Zusammen führen diese Komponenten Studien zu den Aufgaben durch, die von Benutzern in Ihrer Umgebung ausgeführt werden. Aus diesen Studien identifiziert UiPath® Task Mining eine Liste von Aufgaben, die gute Kandidaten für die Automatisierung sind, und erstellt einen detaillierten Prozessplan für die Aufgaben. Diese Studien werden von Ihrem Systemadministrator kontrolliert und die während der Studien gesammelten Daten werden verschlüsselt, um sicherzustellen, dass der Datenschutz Ihrer Benutzer nicht verletzt wird.

Dienstdesignprinzipien

Das Administratorportal und die Analyse werden über ein SaaS-Modell (Software-as-a-Service) bereitgestellt, das in Microsoft Azure erstellt und gehostet wird. Sie alle verwenden Azure-Dienste, einschließlich Rechenleistung, Speicher, Netzwerke, SQL-Datenbank, App-Konfiguration, geheimer Speicher in Key Vault und Identitäts- sowie Zugriffsverwaltung.

So können wir uns auf die einzigartigen Aspekte bei der Ausführung von UiPath®-Diensten konzentrieren, während wir die hochmodernen Funktionen von Azure bezüglich Sicherheit, Datenschutz und Compliance nutzen und darauf aufbauen. Wir verwenden auch die über Azure verfügbaren Branchenzertifizierungen.

UiPath® ist gemeinsam mit Azure für den Schutz Ihrer Daten verantwortlich und hält sich strikt an die veröffentlichten Richtlinien.

Datenverschlüsselung

Wir verschlüsseln alle ruhenden Kundendaten in jedem Datenspeicher, der Teil unseres Dienstes ist. Beispielsweise verwenden wir eine transparente Datenverschlüsselung in SQL-Datenbanken.

Alle Daten werden über geschützte Kanäle übertragen, sei es über das Internet oder innerhalb unserer internen Dienstkomponenten.

Mandantendatenisolierung

Die Daten eines Mandanten werden logisch von den anderen in unserem Dienst getrennt, sodass wir Zugriffs- und Autorisierungskontrollen für alle Mandanten durchsetzen können, während sie in unserem Dienst auf Daten zugreifen.

Datenschutz

UiPath® erfasst zwei Kategorien von Daten der Benutzer, um Task Mining-Dienste bereitzustellen und zu verbessern:

1. Kundendaten: Enthalten personenbezogene Transaktions- und Interaktionsdaten, die wir für die Bereitstellung des Diensts und die Verwaltung Ihres Vertrags mit UiPath® benötigen
2. Systemgenerierte Protokolle: Enthalten Dienstnutzungsdaten, die aggregiert sein können und Teile von Kundendaten enthalten können

Aus Sicht der DSGVO gilt UiPath® als Auftragsverarbeiter. Daher übernehmen wir alle Aufgaben eines Auftragsverarbeiters, indem wir den Kunden entsprechend der Produktarchitektur und Implementierung die volle Kontrolle über ihre Daten geben.

Wir haben sichergestellt, dass wir alle Ihre Daten auf Anfrage für Sie exportieren können. Sollten Sie Ihr Konto bei UiPath Task Mining schließen oder auf andere Weise eine Datenlöschung anfordern, löschen wir diese Daten aus unseren Systemen nach dem erforderlichen 30-tägigen Zeitraum.

Datenaufbewahrung und -hoheit

Wir wissen, dass unseren Kunden der Datenspeicherort sehr wichtig ist. Wir speichern alle Daten und stellen alle Inhalte für den Benutzer in der Region bereit, die den Standort- und Datenhoheitsanforderungen des bezahlenden Benutzers entsprechen. Um die aktuell unterstützten Regionen anzuzeigen, besuchen Sie bitte die Seite Datenaufbewahrung im Übersichtshandbuch. Wir können weiterhin zusätzliche Regionen hinzufügen, da wir sehen, dass unser Kundenstamm wächst.

Hinweis:

Die Datenaufbewahrung wird erzwungen, da wir jetzt den Microsoft Cognitive Service für die PII-Maskierung verwenden, und dies funktioniert in Bezug auf die Mandantenregion.

Sicherheits- und Compliance-Praktiken

UiPath® kümmert sich um die folgenden Aspekte der Sicherheit und Compliance, um Verstöße zu vermeiden und die höchsten Standards für Datensicherheit, Datenschutz und Verfügbarkeit zu gewährleisten:

Systemschutz

Task Mining verwendet das Amazon PaaS-Angebot (Platform-as-a-Service) in vielen Bereichen seiner Infrastruktur. PaaS stellt automatisch regelmäßige Updates für bekannte Sicherheitslücken bereit.

Lebenszyklus mit sicherer Entwicklung

UiPath®-Sicherheits- und Entwicklungsteams arbeiten Hand in Hand, um Sicherheitsbedrohungen während des gesamten Entwicklungsprozesses von Task Mining zu bewältigen.

Teams führen die Bedrohungsmodellierung während der Dienstentwicklung durch. Sie wenden dabei Best Practices für die Entwicklung und Programmierung an und überprüfen die Sicherheit im Endprodukt mithilfe eines mehrgleisigen Ansatzes mit intern erstellten Tools, kommerziellen statischen und dynamischen Analysetools, internen Pentests und externen Bug-Prämien-Programmen.

Wir kümmern uns auch um Sicherheitslücken, die in unsere Codebasis durch Bibliotheken von Drittanbietern implementiert werden, und minimieren unsere Abhängigkeit von diesen Bibliotheken und den entsprechenden Risiken. Da sich die Sicherheitslage ständig ändert, bleiben unsere Teams immer auf dem neuesten Stand der Best Practices. Außerdem muss das gesamte Entwickler- und Betriebspersonal, das an UiPath® Cloud-Diensten arbeitet, an jährlichen Schulungen teilnehmen.

Dienst- und Datenverfügbarkeit

Es ist uns äußerst wichtig, sicherzustellen, dass UiPath® Task Mining-Dienste verfügbar sind, damit Sie auf die Assets Ihrer Organisation zugreifen können. Deshalb setzen wir auf den Sicherungsmechanismus und die Datenwiederherstellung von Azure.

Wir verwenden noch weitere Sicherheitsmaßnahmen, um die Verfügbarkeit sicherzustellen. Zum Beispiel könnte sich ein böswilliger DDoS-Angriff (Distributed Denial-of-Service) auf die Verfügbarkeit des Task Mining-Diensts auswirken. Azure verfügt über ein DDoS-Abwehrsystem, das Angriffe auf unseren Dienst verhindert. Es verwendet bewährte Erkennungs- und Abwehrtechniken wie SYN-Cookies, Ratenbegrenzung und Verbindungsbeschränkungen.

Das System ist so konzipiert, dass es nicht nur Angriffe von außen, sondern auch innerhalb von Azure abwehrt.

Live-Site-Tests

Wir simulieren Angriffe auf unsere Dienste und die zugrundeliegende Infrastruktur mithilfe von internen Red Teams.

Dabei besteht das Ziel darin, reale Sicherheitslücken, Konfigurationsfehler und andere Schwachstellen unter kontrollierten Bedingungen zu identifizieren, damit wir die Effektivität unserer Präventions-, Erkennungs- und Abwehrfunktionen testen können.

Reaktion auf Sicherheitsvorfälle

Wir versuchen, die Angriffsfläche unserer Dienste zu minimieren, und unternehmen große Anstrengungen, um zu verhindern, dass jemals ein Angriff erfolgreich ist. Dennoch können Sicherheitsvorfälle auftreten.

Im Falle eines Angriffs setzen wir Sicherheitsreaktionspläne ein, um Diebstähle, Verluste oder Beschädigungen von Daten zu minimieren. Wir bleiben für unsere Kunden während des gesamten Vorfalls transparent. Unser 24x7-SRE- und -Sicherheitsteam ist immer verfügbar, um das Problem schnell zu identifizieren und sich mit den zuständigen Mitarbeitern des Entwicklungsteams abzusprechen, um den Vorfall einzudämmen.

Sobald das Team ein Problem eingedämmt hat, setzt sich unser Prozess für das Management von Sicherheitsproblemen fort, indem wir die Ursache identifizieren und die erforderlichen Änderungen ermitteln, um sicherzustellen, dass ähnliche Probleme in Zukunft verhindert werden.

Produktionszugriffskontrolle

Wir haben eine strenge Kontrolle darüber, wer Zugriff auf unsere Produktionsumgebung und Kundendaten hat.

Der Zugriff wird auf Grundlage der geringsten erforderlichen Berechtigungen gewährt, und erst, nachdem entsprechende Begründungen bereitgestellt und überprüft wurden. Wenn ein Teammitglied Zugriff benötigt, um ein dringendes Problem zu lösen oder eine Konfigurationsänderung bereitzustellen, muss es „Just-in-Time“-Zugriff auf den Produktionsdienst beantragen.

Der Zugriff wird widerrufen, sobald das Problem behoben ist. Zugriffsanforderungen und -genehmigungen werden nachverfolgt. Wenn der Benutzername und das Kennwort von einem unserer Entwickler oder Betriebsmitarbeiter jemals entwendet werden sollten, sind die Daten weiterhin geschützt, da wir für den gesamten Produktionssystemzugriff eine Zwei-Faktor-Authentifizierung verwenden.

Verwaltung von geheimen Schlüsseln

Geheime Schlüssel, die wir zum Verwalten und Betreiben des Dienstes verwenden, z. B. Verschlüsselungsschlüssel, werden sicher über das Azure Management Portal verwaltet, gespeichert und übertragen.

Alle geheimen Schlüssel werden in regelmäßigen Abständen rotiert und können im Falle eines Sicherheitsereignisses nach Bedarf rotiert werden.

Mit einer soliden Grundlage für Sicherheit und Datenschutz arbeitet UiPath® auf den Erhalt von Branchenzertifizierungen und Akkreditierungen hin, darunter ISO 27001:2013 und ISO 27017, CSA Star und SOC 1 Type 2.

Das Administratorportal sowie die Analyse werden über ein SaaS-Modell (Software-as-a-Service) bereitgestellt, das in Microsoft Azure erstellt und gehostet wird. Sie alle verwenden Azure-Dienste, einschließlich Rechenleistung, Speicher, Netzwerke, SQL-Datenbank, App-Konfiguration, geheimer Speicher in Key Vault und Identitäts- sowie Zugriffsverwaltung. Wir sind gemeinsam mit Azure für den Schutz Ihrer Daten verantwortlich und halten uns strikt an die veröffentlichten Richtlinien.

Sicherheitszertifikate – Sicherheit

Informationen zu Sicherheitsvorkehrungen für Task Mining finden Sie auf der Seite UiPath®-Sicherheit auf der UiPath-Website.